Uma aplicação de IA comete um erro. Uma decisão está incorreta, um conselho é enganoso, um cliente é rejeitado indevidamente. A pergunta que se segue não é apenas técnica. Quem deveria ter previsto isto, quem gerenciava o sistema, e quem pode explicar por que foi implementado da forma como foi.
Essa resposta não existe independentemente de um registo. Responsabilidade pressupõe que alguém saiba que uma aplicação existe, para que serve, e quem é responsável por ela. Sem essa base, a questão da responsabilização é retórica: não há ninguém que o saiba, logo não há ninguém que o possa explicar.
Um Responsible AI Scan mapeia o que está em funcionamento, quem o utiliza e com que nível de risco isso acontece. Isso é um ponto de partida, não um veredito sobre culpa. O scan classifica uma aplicação por função e risco; não avalia se uma decisão individual estava correta. Essa avaliação pertence ao incidente em si, não ao inventário que o precedeu.
O que o scan efetivamente faz é fornecer a estrutura dentro da qual essa avaliação pode ser feita mais tarde. Se se sabe quem adquiriu uma aplicação, quem a gere e para que finalidade foi aprovada, existe uma linha à qual recorrer. Sem essa estrutura, a questão da responsabilidade recai em conjeturas posteriores.
A maioria das organizações tem uma visão geral do software aprovado. Essa visão geral quase nunca está completa. Os colaboradores utilizam ferramentas que ninguém registou, muitas vezes porque o trabalho é mais rápido e ninguém perguntou. Isto não é, por definição, um comportamento irresponsável; é o que acontece quando uma organização não oferece outra via.
Quem quer saber o que realmente é utilizado, tem de perguntar. E isso só funciona se perguntar não tiver consequências. Assim que um colaborador suspeitar que uma resposta honesta leva a uma conversa corretiva, a resposta deixa de vir. O que faz com colaboradores que utilizam uma ferramenta que ninguém aprovou trata exatamente desse mecanismo: o inventário é tão bom quanto a confiança com que é recolhido.
A isso junta-se também a questão do que acontece com informação empresarial assim que é digitada numa janela externa. O que faz com dados empresariais numa janela de chat gratuita descreve um risco que existe independentemente de má-fé: alguém apenas quer que um texto seja verificado, e nesse processo digita algo que não deveria.
Um conjunto de governance que se segue a um inventário regula quem aprova uma aplicação, quem exerce supervisão e como isso é registado. Isto encaixa na estrutura de risco que uma organização já possui para outros domínios: os mesmos comités, as mesmas linhas de reporte, os mesmos caminhos de escalonamento. Não surge um novo aparelho ao lado do existente; acrescenta-se uma categoria ao que já existe.
Isto proporciona comprovabilidade: um órgão de administração pode demonstrar que houve análise, classificação e supervisão instituída. Não proporciona a garantia de que uma aplicação nunca mais voltará a cometer um erro. Essas duas coisas são distintas e o scan não se pronuncia sobre a segunda. O que ele proporciona é uma base sobre a qual um órgão de administração pode explicar o que foi feito, não um seguro contra o que ainda pode acontecer.
Um erro frequentemente cometido é montar um processo de IA separado, à parte da estrutura de risco e compliance já existente. Esse processo recebe atenção no início e depois desaparece para segundo plano, porque ninguém continua a manter um segundo sistema ao lado do primeiro. Por que um segundo processo ao lado do existente é ignorado explica por que a integração com estruturas existentes não é uma questão de eficiência, mas uma condição para que algo continue a existir.
A isso pertence também o facto de um inventário ser um momento, não um ponto final. Surgem novas aplicações, as existentes mudam de função, e uma classificação que estava correta no momento da entrega não está automaticamente correta um ano depois. Com que frequência deve reclassificar e como mantém um registo de IA atualizado descrevem o que essa manutenção exige na prática, e por que um registo elaborado uma única vez deixa, dentro de pouco tempo, de corresponder à realidade.
As pessoas que trabalham com estas aplicações são, além disso, parte da solução, não apenas um risco a controlar. O que os colaboradores compreendem e não compreendem sobre os sistemas que utilizam determina se um conjunto de governance tem, na prática, algum significado. O que significa literacia em IA para os seus colaboradores aborda esse aspeto.
Quem sabe uma vez quais aplicações de IA estão em funcionamento e quem é responsável por elas, depara-se naturalmente com uma pergunta subsequente: que parte do trabalho que atualmente é feito manualmente é, na verdade, adequada para ser confiada a uma aplicação de IA. Essa é uma pergunta diferente da responsabilidade, mas que se apoia no mesmo inventário. O werkscan da FTE TO AI calcula, por tarefa, que parte do trabalho pode ser assumida pela IA, como um passo seguinte depois de esclarecido o que já está em funcionamento e quem decide sobre isso.
O scan descrito nesta página está em construção. Quem tiver interesse pode inscrever-se na lista de espera; ainda não é entregue nada que não esteja concluído.
Vraag maar. Governance begint bij weten wat er draait — ook wat niemand heeft goedgekeurd.
Answers come from this site’s knowledge base. Not tailored advice, and not a scan of your company.